Que sont les données personnelles “sensibles” ? Peut-on les traiter ?

Cette FAQ publie les questions qui nous ont été adressées dans le cadre de nos activités (→ voir Qui sommes-nous ?), et les réponses que nous y avons apportées en nous appuyant sur la réglementation en vigueur. La tonalité souvent normative de ces billets ne doit cependant pas décourager le débat sur les conditions d’application de ces règles : n’hésitez pas à les commenter !

Au sens de la réglementation sur la protection des données personnelles (RGPD1, LIL2 ), les données sensibles sont une catégorie particulière de données personnelles (→ voir “Qu’est-ce qu’une donnée personnelle en SHS?”). Autrement dit, toutes les données personnelles ne sont pas “sensibles”.

Notez bien : les données relatives aux condamnations pénales, infractions et mesures de sûreté connexes, comme le numéro de sécurité sociale (aussi appelé NIR – Numéro d’Inscription au Répertoire) sont d’autres catégories particulières de données personnelles, faisant l’objet d’encadrements spécifiques. Sur ce blog, vous trouverez quelques informations sur le traitement du NIR, des condamnations pénales, infractions et mesures de sûreté dans l’étape 3 du billet “Comment traiter des données personnelles en SHS : étapes élémentaires”.

Que sont les données personnelles “sensibles” ?

Les données sensibles sont des données personnelles, révélant au moins l’un de ces types d’informations :

  • la prétendue origine raciale ou ethnique
  • les opinions politiques
  • les convictions religieuses ou philosophiques
  • l’appartenance syndicale
  • des données génétiques et biométriques
  • des données concernant la santé (voir la définition au considérant 35 du RGPD)
  • des données concernant la vie sexuelle ou l’orientation sexuelle.

“Attention : une donnée a priori non sensible peut toutefois le devenir en cas de recoupement d’informations. Exemple : des recherches portant sur la géolocalisation des véhicules pourraient révéler des convictions politiques réelles ou supposées, des convictions religieuses et/ou données relatives à la santé par l’étude des habitudes de déplacement et du stationnement surle parking de lieux particuliers (locaux d’un parti politique, fréquentation de lieux de culte, etc.).” (source : CNIL – Recherche scientifique hors santé : focus sur certaines catégories de données personnelles)

Dans quels cas puis-je traiter des données personnelles sensibles ?

Le règlement européen interdit de recueillir ou d’utiliser les données sensibles, sauf dans une dizaine de cas (voir article 9 du RGPD), et notamment :

Si les données sensibles ne sont pas rendues manifestement publiques par les personnes concernées, un projet de recherche publique pourra donc procéder, selon les cas :

  • au recueil du consentement si celui-ci est possible sans représenter un biais pour la recherche ;
  • ou à la sollicitation d’un avis CNIL (démarche relativement compliquée nécessitant 6 mois d’instruction minimum) si le recueil du consentement n’est pas possible ou constituerait un biais pour la recherche.

Les exceptions qui peuvent être mobilisées pour traiter des données sensibles ne se substituent nullement à la base légale du traitement. Les fiches CNIL pour la recherche (publiées en janvier 2022) certifient que cette exception s’ajoute à la base légale, clarifiant alors une ambiguïté du RGPD pour les recherches en SHS [1].

[1] Comme le remarquait Lionel Maurel en 2018, l’exception accordée à la recherche publique étant distincte de celle basée sur le consentement, il aurait pu en résulter que le traitement des données sensibles à des fins de recherche n’ait pas nécessité le consentement des personnes concernées. Plus exactement, l’exception au traitement de données sensibles accordée à la recherche publique (sous réserve d’un avis de la CNIL) se substitue à l’exception au traitement de données sensibles accordée par le consentement ; elle ne substitue pas (mais s’ajoute) à la base légale (qui peut reposer, pour la recherche publique en SHS, sur le consentement ou l’exécution d’une mission d’intérêt public).

Dois-je nécessairement réaliser une analyse d’impact (AIPD, DPIA ou AIVP) pour traiter des données personnelles sensibles ?

En complément des autres règles à respecter pour le traitement de toute donnée personnelle, il faut conduire une analyse d’impact relative à la protection des données avant de commencer les opérations de traitement (→ voir “Qu’est-ce qu’une analyse d’impact relative à la protection des données (AIPD, DPIA ou AIVP) ? Dans quels cas doit-on y avoir recours, et comment ?”), si vos données sont sensibles et que votre traitement répond à au moins 1 de ces 8 critères :

  • évaluation d’aspects personnels ou notation d’une personne (exemple : scoring financier) ;
  • prise de décision automatisée ;
  • surveillance systématique de personnes (exemple : télésurveillance) ;
  • traitement de données concernant des personnes vulnérables (voir ci-dessous “Focus sur les populations vulnérables”) ;
  • traitement à grande échelle de données personnelles ;
  • croisement d’ensembles de données ;
  • usages innovants ou l’application de nouvelles technologies (exemple : objet connecté) ;
  • exclusion du bénéfice d’un droit, d’un service ou contrat (exemple : liste noire).

A savoir : la réalisation d’une analyse d’impact requiert du temps et une certaine implication de l’équipe de recherche. L’AIPD est réalisée par le responsable du traitement (→ voir “Qui est le responsable de traitement et quel est son rôle ?”) et le responsable scientifique par délégation, en lien avec le délégué à la protection des données (DPD ou DPO) et le responsable de la sécurité des systèmes d’information.

Focus sur les populations vulnérables

Certaines données personnelles renseignent des “populations vulnérables”. Ces populations ne sont pas explicitement définies par le RGPD ni par la LIL, mais on comprend qu’il s’agit de personnes pour lesquelles il est moins évident de faire valoir ses droits – telles que :

  • les enfants de moins de 15 ans ;
  • les personnes âgées ;
  • les personnes souffrant de maladie mentale ;
  • les salariés enquêtés sur leur établissement professionnel ;
  • les prisonniers ;
  • les réfugiés et demandeurs d’asile ;
  • les patients dans un établissement médical ;

Références

Notes

  1. Règlement Général sur la Protection des Données Personnelles (RGPD) du 27 avril 2016 – voir la version en vigueur []
  2. Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (LIL) – voir la version en vigueur []

OpenEdition vous propose de citer ce billet de la manière suivante :
Aliette ROUX (11 octobre 2022). Que sont les données personnelles “sensibles” ? Peut-on les traiter ? So MSH ! Consulté le 9 mai 2026 à l’adresse https://doi.org/10.58079/ugfi


Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

This site uses Akismet to reduce spam. Learn how your comment data is processed.